Wyciek danych z MyDr: możesz już sprawdzić, czy cię dotyczy

Trzy z pięciu sprawdzonych numerów PESEL znalazły się w bazie. To jeden z nielicznych wyników, które w sprawie MyDr udało się dotąd zweryfikować niezależnie. Firma, dostarczająca oprogramowanie do elektronicznej dokumentacji medycznej, poinformowała 10 sierpnia, że bada poważny incydent bezpieczeństwa. Osoby, które twierdzą, że się do niej włamały, deklarują, że mają 18 814 422 niepowtarzalne numery PESEL i 2,5 terabajta plików. Po południu 12 sierpnia skalę potwierdził rząd. Pacjent, który chciał sprawdzić, czy jego dane są w tym zbiorze, przez ponad dwa tygodnie trafiał na ścianę. 29 sierpnia zbiór trafił do rządowego serwisu Bezpieczne Dane i sprawdzenie stało się możliwe.

Trzy z pięciu numerów PESEL znalazły się w bazie

Sprawcy odezwali się do redakcji Zaufanej Trzeciej Strony w sobotę 8 sierpnia. Przekazali materiały, z których część dało się zweryfikować niezależnie. To jest dziś najmocniejsza przesłanka w całej sprawie.

Redakcja dostała zrzut ekranu z wpisami dotyczącymi jednego z czołowych polskich polityków. Zgadzały się data urodzenia, numer PESEL, imię i nazwisko oraz dwa numery telefonu. Jeden z tych numerów udało się potwierdzić w innych źródłach. Zgadzał się też region Narodowego Funduszu Zdrowia. Recepty przypisanej tej osobie zweryfikować się nie dało i redakcja napisała to wprost.

Potem przyszła próba na żywym organizmie. Czworo osób z branży bezpieczeństwa zgodziło się podać swoje numery PESEL do sprawdzenia. Razem z autorem tekstu dało to pięć numerów, a rekordy znalazły się dla trzech. Próbka jest statystycznie niewielka i sama redakcja to zaznacza. Pasuje jednak do rzędu wielkości, o którym mówią włamywacze.

Do sprawy odniósł się też wicepremier Krzysztof Gawkowski, zachowując tryb przypuszczający. Napisał, że “wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać do nich [danych] dostęp”. To nie jest potwierdzenie ani zakresu, ani samego wycieku.

Rząd potwierdził skalę i zapowiedział portal do sprawdzenia

Aktualizacja z 12 sierpnia, po południu. Sprawa przeszła w ciągu jednego dnia z trybu przypuszczającego do potwierdzenia.

Rano wicepremier Krzysztof Gawkowski mówił w Onet Rano jeszcze ostrożnie, o “prawdopodobieństwie bardzo dużego wycieku danych”. Zapowiedział wtedy, że pozostaje w kontakcie z ministrem koordynatorem służb specjalnych Tomaszem Siemoniakiem i minister zdrowia Jolantą Sobierańską-Grendą.

Na 12 sierpnia na godzinę 12:00 zwołał Połączone Centrum Operacyjne Cyberbezpieczeństwa. Po posiedzeniu ton się zmienił. Według relacji CyberDefence24 wicepremier powiedział: “Z przykrością muszę poinformować, że doszło do nadzwyczajnego wycieku danych, sięgającego blisko 19 milionów obywateli Polski, które w różnych kategoriach korzystały ze wsparcia medycznego”.

To jest różnica, którą warto zauważyć. Rano mówiliśmy o twierdzeniach sprawców, po południu o oświadczeniu ministra cyfryzacji.

Zapadła też druga decyzja, ważniejsza dla czytelnika niż sama liczba. Gawkowski zapowiedział dodanie zbioru do rządowego portalu Bezpieczne Dane, żeby obywatele mogli sprawdzić własne dane. Nie chodzi o publikowanie wykradzionych rekordów, tylko o wpuszczenie ich do mechanizmu, w którym po zalogowaniu sprawdzasz wyłącznie siebie. Dokładnie tego brakowało jeszcze rano.

Trzeba przy tym trzymać jedno rozróżnienie. Potwierdzenie skali padło z ust wicepremiera po posiedzeniu, a nie w formie pisemnego komunikatu rządowego. Sama firma nadal komunikuje, że bada incydent, a szczegółowej listy tego, co dokładnie wypłynęło, wciąż nie ma.

Portal, który miał to rozwiązać, właśnie przestał odpowiadać

Sprawdziliśmy portal Bezpieczne Dane 12 sierpnia około godziny 15:00, czyli mniej więcej trzy godziny po zapowiedzi. Nie działa.

Strona główna nie odpowiada w ogóle i kończy się przekroczeniem limitu czasu. Podstrona z historią wycieków zwraca błąd serwera o numerze 500. Zakładki z bazą wiedzy i najczęstszymi pytaniami też nie odpowiadają. Osoba, która przejdzie weryfikację w mObywatelu, ląduje na stronie z komunikatem “Nie znaleziono strony”.

Nie wiemy, czy to skutek nagłego napływu ludzi, czy prac związanych z wgrywaniem nowego zbioru, i nie zamierzamy zgadywać. Wiemy natomiast, że to nie jest pierwszy raz. Spider’s Web opisywał dokładnie tę sytuację w listopadzie 2023, przy głośnym wycieku z sieci laboratoriów: ludzie chcieli sprawdzić swoje dane, a rządowa strona nie działała.

Jest w tym gorzka logika, którą znamy z innego naszego tekstu. Przy awarii strony, do której odsyłał Alert RCB mechanizm był ten sam: państwo kieruje miliony osób w jedno miejsce w tej samej minucie i to miejsce się kładzie. Komunikat o zagrożeniu sam wytwarza ruch, którego infrastruktura nie przewidziała.

Portal nie mógł wtedy odpowiedzieć na pytanie o ten wyciek, bo zbioru z MyDr jeszcze w nim nie było. Zastrzeżenie numeru PESEL nie zależało jednak od portalu i warto było wykonać je od razu. Od 29 sierpnia zbiór już tam jest.

MyDr potwierdził atak, ale nie potwierdził ani skali, ani zakresu danych

Aktualizacja z 13 sierpnia. Firma odezwała się wreszcie szerzej niż jednym zdaniem o badaniu incydentu. Oświadczenie jest krótkie i warto je czytać dokładnie tak, jak zostało napisane, bo najwięcej mówi to, czego w nim nie ma.

MyDr potwierdza sam atak: “staliśmy się celem zewnętrznego, celowego działania o charakterze przestępczym”. Na tym potwierdzenia się kończą. Kluczowe zdanie brzmi: “Na dziś nie jesteśmy w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione”. Firma zapowiada, że zrobi to po zakończeniu analizy śledczej.

Zestaw to z liczbami, które krążą w mediach od tygodnia. 18 814 422 numery PESEL i 2,5 terabajta plików nadal pochodzą wyłącznie od sprawców. Rząd potwierdził rząd wielkości, firma nie potwierdziła go do dziś. To nie jest zarzut wobec MyDr, bo analiza takiego zbioru trwa. To jest natomiast powód, żeby traktować te liczby jako deklarację jednej strony, a nie jako ustalenie.

Nowa jest za to informacja o czasie. Według firmy dane “najprawdopodobniej mają charakter historyczny” i “pochodzą z 2024 roku oraz lat wcześniejszych”. Pokrywa się to z komunikatem Ministerstwa Cyfryzacji, które mówiło o danych historycznych do kwietnia 2024. Dla pacjenta oznacza to rzecz konkretną: jeśli twój kontakt z placówką korzystającą z MyDr zaczął się później, prawdopodobieństwo, że jesteś w tym zbiorze, spada. Prawdopodobieństwo, nie pewność, bo zakresu nikt jeszcze nie potwierdził.

Firma dodaje, że jej systemy “są w pełni operacyjne i bezpieczne w użyciu”, a współpracujący z nią specjaliści monitorują dark web i nie znaleźli dowodów, by wykradzione dane zostały gdzieś opublikowane albo udostępnione. Ta ostatnia informacja jest realnie dobrą wiadomością, ale ma krótki termin ważności. Brak publikacji dziś nie mówi nic o tym, co stanie się za miesiąc, a przy danych medycznych okres przydatności wykradzionego rekordu liczy się w latach.

Co to oświadczenie znaczy dla przychodni

Jedno zdanie wymaga ostrożnego czytania przez właścicieli placówek. MyDr zapowiada, że skontaktuje się z klientami, których incydent dotyczy, pomoże im w zgłoszeniach do organów ochrony danych i że na razie klienci nie muszą podejmować żadnych działań. Brzmi to uspokajająco, ale nie zawiesza terminu, który biegnie z ustawy. Prezes Urzędu Ochrony Danych Osobowych przypomniał 12 sierpnia, że własną analizę ryzyka przeprowadza każdy administrator osobno, a na zgłoszenie ma najwyżej 72 godziny od stwierdzenia naruszenia. Deklaracja dostawcy, że pomoże, i obowiązek placówki, żeby ocenić sytuację u siebie, to dwie różne rzeczy. Rozpisaliśmy to osobno przy terminie 72 godzin i tym, od kiedy właściwie biegnie.

UODO wszedł do MyDr z kontrolą, sprawą zajęła się też prokuratura

Aktualizacja z 16 sierpnia. Sprawa weszła w tryb urzędowy i to jest największa zmiana od czasu oświadczenia firmy.

Prezes Urzędu Ochrony Danych Osobowych ogłosił 13 sierpnia kontrolę w spółce MyDr. Urząd pisze wprost, co ją uruchomiło: placówki ochrony zdrowia, które korzystając z aplikacji spółki powierzyły jej dane swoich pacjentów, zaczęły zgłaszać naruszenia ochrony danych. Skali urząd nie zna i sam to zaznacza. Powołuje się na doniesienia medialne o “około 12 tys. podmiotów leczniczych”.

Zakres kontroli warto znać, bo jest węższy, niż sugeruje samo słowo kontrola. Kontrolerzy sprawdzą zastosowane przez spółkę środki techniczne i organizacyjne. Ustalą też, czy zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń. Trzeci punkt dotyczy analizy ryzyka: czy uwzględniała możliwe zagrożenia dla przetwarzanych danych i czy jej wyniki zastosowano w praktyce. To jest sprawdzenie stanu faktycznego, a nie postępowanie o karę.

Przy okazji urząd potwierdza rozróżnienie, na którym stoi cały ten tekst. MyDr jest podmiotem przetwarzającym dane administrowane przez placówki medyczne, będące jego klientami. Administratorem pozostaje przychodnia.

Osobno biegnie wątek karny. Dochodzenie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości, a nadzoruje je Prokuratura Okręgowa w Warszawie. Postępowanie dotyczy uzyskania bez uprawnienia dostępu do systemu informatycznego spółki, za co grozi do trzech lat pozbawienia wolności. Pacjentowi nie zmienia to dziś nic, ale zmienia coś w tle. Materiał w tej sprawie zbierają od teraz dwie instytucje z uprawnieniami, których nie ma żadna redakcja.

Kim jest MyDr i dlaczego twoje dane mogą tam być

Wiele osób, których ta sprawa może dotyczyć, nigdy nie zetknęło się z nazwą MyDr. Dane trafiają tam bowiem drogą, w której pacjent nie uczestniczy.

MyDr to oprogramowanie do prowadzenia elektronicznej dokumentacji medycznej, z którego korzystają przychodnie i gabinety. Dane wpisuje lekarz podczas wizyty. Firma podaje, że przez jej systemy przechodzi około 3 milionów wizyt i 2,7 miliona recept miesięcznie. Liczby pacjentów nie podaje, a to właśnie ona byłaby tu najciekawsza.

Skala działania tłumaczy, dlaczego liczba rzędu osiemnastu milionów w ogóle brzmi wiarygodnie. Przy tysiącach obsługiwanych punktów ochrony zdrowia zbiór narastał latami, wizyta po wizycie. Nie trzeba być pacjentem jednej konkretnej przychodni, żeby dane mogły tam trafić. Wystarczyła wizyta w gabinecie, który używa tego systemu.

Jest przy tym rozróżnienie, o którym trzeba powiedzieć wprost, bo zmienia obraz sytuacji. MyDr prowadzi także portal Pacjent On-line z indywidualnymi kontami, gdzie pacjent rejestruje się sam i ustawia własne hasło. W niektórych procesach umawiania wizyty może przy tym podać PESEL. Kto ma takie konto, powinien to hasło zmienić i sprawdzić, gdzie jeszcze go używał. Kto konta nie zakładał, a mimo to bywał u lekarza korzystającego z systemu, nie ma po swojej stronie żadnego przełącznika. Nie zmieni hasła, którego nie ma, i nie wypowie umowy, bo umowę z dostawcą ma przychodnia.

Warto przy okazji nazwać rzecz, która przy każdym takim incydencie wraca. Pacjent nie wybiera oprogramowania, w którym lądują jego dane. Wybiera lekarza, a resztę dostaje w pakiecie.

Dlaczego portal nie powie ci, co dokładnie wyciekło

Tu dochodzimy do sedna, które w większości relacji ginie za liczbą osiemnastu milionów.

W odniesieniu do dokumentacji medycznej MyDr jest podmiotem przetwarzającym, a administratorem danych jest każda placówka z osobna. Placówek są tysiące. Ta różnica wygląda na formalność prawniczą, a decyduje o wszystkim, co dzieje się dalej. Inaczej wygląda to przy koncie w portalu Pacjent On-line, gdzie role rozkładają się inaczej, a takie konto może mieć część osób z tego zbioru.

Podmiot przetwarzający nie dysponuje danymi tak jak administrator. Według analizy Zaufanej Trzeciej Strony MyDr nie ma więc obecnie podstawy, żeby samodzielnie przekazać zbiór ofiar zespołowi CERT Polska. A to właśnie tą drogą dane trafiają do serwisu bezpiecznedane.gov.pl, w którym każdy sprawdza się profilem zaufanym. Bez dodatkowego rozwiązania po stronie państwa ten kanał, dopracowany po poprzednich wyciekach, może więc w tej sprawie nie zadziałać.

Zostaje droga przez placówki. W teorii to administrator, czyli twoja przychodnia, zawiadamia osoby, których dane naruszono. W praktyce oznacza to tysiące podmiotów. Każdy z nich musi najpierw dowiedzieć się od dostawcy, co i w jakim zakresie go dotyczy. Kolejność jest tu ważna: najpierw zakres incydentu, potem informacja do placówek, na końcu do pacjentów. Osobno rozpisaliśmy, jakie obowiązki spadają w tej sytuacji na samą placówkę i od kiedy biegnie jej termin 72 godzin.

Dlatego uczciwa odpowiedź na pytanie “czy jestem w wycieku” brzmi dziś: nie da się tego sprawdzić. Rozwiązanie systemowe było możliwe, ale wymagało decyzji po stronie państwa, a nie firmy.

I ta decyzja zapadła 12 sierpnia po południu. Wicepremier zapowiedział umieszczenie wykradzionych danych na portalu Bezpieczne Dane, czyli dokładnie tę drogę na skróty, której z samych przepisów nie dało się przejść. Warto jednak przeczytać to dosłownie: to jest zapowiedź, a nie działający mechanizm.

Stan na 29 sierpnia: zbiór z MyDr jest już w portalu. Czekanie trwało siedemnaście dni, a komunikat rządu z 12 sierpnia mówił o kilku. Sprawdzaliśmy serwis cztery razy między 12 a 24 sierpnia i za każdym razem zbioru w nim nie było. Portal pisał wtedy wprost, na co czeka. Dane z wycieku w firmie MyDr “zostaną udostępnione w serwisie niezwłocznie po ich przekazaniu przez podmioty dotknięte cyberatakiem“.

Warto przeczytać to dokładnie. Komunikat nie precyzował, które podmioty ma na myśli, a administratorami dokumentacji medycznej są poszczególne placówki. Przyczynę opóźnienia podał ostatecznie wiceminister cyfryzacji Dariusz Standerski: dane z wycieku dłużej zabezpieczała policja. Nikt nie potwierdził przy tym, że zbiór w portalu jest kompletny, więc wynik negatywny nie usuwa ryzyka. Instrukcję sprawdzenia rozpisaliśmy w osobnym tekście o portalu Bezpieczne Dane.

Cztery kroki, które możesz zrobić dzisiaj

Żadny z nich nie wymaga wiedzy technicznej ani pieniędzy, a pierwszy zajmuje kilka minut. Kolejność nie jest przypadkowa: zaczynasz od tego, co działa od razu, a kończysz na nawyku, który przyda się jeszcze długo po tej sprawie.

O co zapytać w swojej przychodni

Jest jedna droga, z której warto skorzystać, choć nikt o niej nie mówi. Administratorem twoich danych jest przychodnia i to jej wolno zadać pytanie wprost. Czy używa systemu MyDr, czy dostała od dostawcy informację o zakresie zdarzenia i czy zamierza zawiadomić pacjentów. Odpowiedź “jeszcze nie wiemy” też jest informacją, bo pokazuje, na jakim etapie jest cała sprawa. To dziś najbardziej bezpośredni kanał uzyskania informacji, obok uprawnień, które daje samo rozporządzenie o ochronie danych.

Zastrzeżenie PESEL: co realnie blokuje, a czego nie

Skoro sprawdzić się nie da, sensowne jest przejście od pytania “czy mnie dotyczy” do pytania “co zrobić na wszelki wypadek”. Odpowiedź jest ta sama, jaką powtarzamy przy każdym polskim wycieku. Warto ją jednak odczarować, bo krąży wokół niej sporo nieporozumień.

Jak zastrzec PESEL i co się wtedy zmienia

Numer PESEL zastrzeżesz przez serwis mObywatel.gov.pl. Potrzebujesz profilu zaufanego, podpisu kwalifikowanego, e-dowodu albo danych do bankowości elektronicznej. Można też złożyć wniosek w dowolnym urzędzie gminy, z dowodem tożsamości.

Od 1 czerwca 2024 roku instytucje objęte ustawą z 7 lipca 2023 roku muszą sprawdzić rejestr zastrzeżeń, zanim zawrą z klientem umowę. Zakres jest szerszy, niż wielu osobom się wydaje. Zastrzeżenie blokuje kredyt i pożyczkę, ale też założenie nowego rachunku bankowego, sporządzenie aktu notarialnego dotyczącego nieruchomości oraz wydanie duplikatu karty SIM. Blokuje również wypłatę gotówki w placówce banku powyżej trzykrotności minimalnego wynagrodzenia.

Ten ostatni punkt ma haczyk wart zapamiętania. Jeżeli chcesz taką kwotę wypłacić, zastrzeżenie trzeba cofnąć przed złożeniem dyspozycji. Cofnięcie go w trakcie nie pomoże, bo bank i tak wstrzyma wypłatę na dwanaście godzin.

Warto natomiast wiedzieć, czego zastrzeżenie nie robi, bo tu rodzą się rozczarowania. Z zastrzeżonym numerem nadal zarejestrujesz się do lekarza i zrealizujesz receptę. Wypłacisz też pieniądze z bankomatu, zlecisz przelew, wyjedziesz za granicę i załatwisz sprawę urzędową. Zastrzeżenie nie wycofuje danych, które już wyciekły. Nie zmienia też tego, że ktoś zna twoją datę urodzenia.

Czego zastrzeżenie nie załatwi w tej konkretnej sprawie

Zbiór, o którym mówią sprawcy, zawiera coś więcej niż numery. Region NFZ, numery telefonów i kontekst medyczny to materiał na wiarygodną rozmowę telefoniczną. Osoba dzwoniąca zna twoje nazwisko i wie, gdzie się leczysz. Potrafi powiedzieć coś, czego nie znajdzie w publicznym rejestrze.

Przeciw temu zastrzeżenie PESEL nie pomoże w niczym. Pomaga jedna zasada. W rozmowie przychodzącej nie podawaj haseł ani kodów, nie przepisuj danych i nie zatwierdzaj żadnej operacji. Rozłącz się i sam wybierz numer z oficjalnej strony. Kosztuje to minutę i zamyka całą tę drogę. Działa też wtedy, gdy głos w słuchawce brzmi znajomo, bo podrobienie głosu przestało być trudne i drogie. Jak dokładnie działa technologia, która to umożliwia, tłumaczymy w kursie Pierwsza Misja AI.

Droga, którą opisali sprawcy, i czego w niej nie potwierdzono

Włamywacze przedstawili redakcji własną wersję tego, jak dostali się do infrastruktury. Podajemy ją, bo mówi coś ważnego o dzisiejszych włamaniach. Żadne z poniższych zdań nie zostało jednak zweryfikowane niezależnie.

Według ich relacji zaczęło się od podatności typu XXE przy obsłudze certyfikatów w formacie PKCS#12. Chodzi o błąd w przetwarzaniu pliku, który program traktował jako zaufany. To dało zdalne wykonanie kodu. Stamtąd wzięli klucz dostępowy do GitHuba, przez niego kod źródłowy serwisu, a przez kod dotarli do infrastruktury w chmurze Amazona. Wymienili też Jirę i system Hubspot jako narzędzia, do których mieli pełny dostęp.

Ten łańcuch jest znajomy. Jedno wejście w miejscu, którego nikt nie uważał za wrażliwe, prowadzi do klucza. Klucz prowadzi do repozytorium, a repozytorium do wszystkiego. Ten sam mechanizm opisywaliśmy przy wycieku danych klientów Framework przez lukę w Metabase i przy incydencie w Żabce, gdzie punktem wejścia było konto zewnętrznego dostawcy.

Jest w tej historii szczegół, który mówi więcej niż cała reszta. Sprawcy wysłali 5 sierpnia wiadomość do prezesa spółki będącej właścicielem platformy. Dołączyli dokument zabezpieczony hasłem, a hasłem był numer PESEL prezesa. Redakcja otworzyła plik bez trudu, bo PESEL ma niską entropię. Daje się odgadnąć znacznie łatwiej, niż podpowiada jego długość. Ten sam ciąg cyfr, który w tej sprawie jest przedmiotem kradzieży, ktoś potraktował jako zabezpieczenie.

Dane medyczne zmieniają rachunek ryzyka

Wyciek adresów e-mail i haseł ma czytelną ścieżkę wyjścia. Zmieniasz hasło, włączasz drugi składnik logowania i najgroźniejszy skutek znika. Przy dokumentacji medycznej takiej ścieżki nie ma.

Numeru PESEL nie zmienisz jak hasła. Historii wizyt nie unieważnisz. Informacja o tym, że ktoś leczył się w konkretnej poradni, zachowuje wartość przez lata, a nie przez tydzień. Dlatego wycieki danych zdrowotnych ocenia się inaczej niż wycieki loginów, choć w nagłówkach wyglądają podobnie.

Jest jeszcze drugi wymiar, o którym mówi się rzadziej. W plikach, które sprawcy pokazali redakcji, miała się znaleźć wewnętrzna korespondencja firmowa. Wymieniono informacje o nowych pracownikach, zgłoszenie sygnalisty i wycinek bazy współpracujących lekarzy. Ten ostatni redakcja sprawdziła i dane się zgadzały, choć w większości są publicznie dostępne. Ten przypadek pokazuje, że włamanie do dostawcy oprogramowania może objąć znacznie więcej niż zbiór, o który wszyscy pytają.

Najczęstsze pytania

Trzy z poniższych pytań wracają przy każdym polskim wycieku, a czwarte jest specyficzne dla tej sprawy i ma odpowiedź, która wielu osobom się nie spodoba.

Jak sprawdzić, czy moje dane wyciekły z MyDr?

Od 29 sierpnia sprawdzisz to w serwisie bezpiecznedane.gov.pl. Zbiór z MyDr trafił do portalu tego dnia, siedemnaście dni po rządowej zapowiedzi. Zaloguj się profilem zaufanym, aplikacją mObywatel, e-dowodem albo przez bankowość elektroniczną. Potem otwórz zakładkę z historią wycieków i wybierz sprawdzenie własnych danych. Przy dużym ruchu serwis ustawia najpierw w kolejce. Portal potwierdzi, czy twój numer był w zbiorze. Nie pokaże natomiast, jakie informacje medyczne mu towarzyszyły.

Co z tego wynika praktycznie. Wynik negatywny nie zamyka sprawy, bo nikt nie potwierdził, że zbiór w portalu jest kompletny. Powtórz sprawdzenie za kilka dni. O zakres naruszenia pytaj swoją przychodnię. To ona jest administratorem twojej dokumentacji. Jeżeli oceni, że naruszenie stwarza wysokie ryzyko dla praw i wolności pacjentów, musi ich bez zbędnej zwłoki zawiadomić. Nie czekaj też z zastrzeżeniem numeru PESEL, bo ono działa niezależnie od wyniku w portalu. Instrukcję sprawdzenia rozpisaliśmy szerzej w tekście o portalu Bezpieczne Dane.

Co grozi, jeśli ktoś zna mój numer PESEL?

Największe ryzyko to zaciągnięcie zobowiązania finansowego na twoje dane. Właśnie temu ma zapobiegać zastrzeżenie numeru. Od 1 czerwca 2024 roku objęte ustawą instytucje muszą sprawdzić rejestr zastrzeżeń przed zawarciem umowy. Poza kredytem i pożyczką dotyczy to również założenia rachunku bankowego, aktu notarialnego przy nieruchomości i duplikatu karty SIM. Drugie ryzyko jest mniej oczywiste i dotyczy rozmów telefonicznych. Ktoś, kto zna twój numer, nazwisko i przychodnię, brzmi wiarygodnie od pierwszego zdania. Numeru PESEL nie da się przy tym unieważnić tak jak karty płatniczej. Ochrona polega więc na blokowaniu skutków, a nie na cofaniu samego faktu.

Czy zastrzeżenie PESEL zablokuje mi wizytę u lekarza albo receptę?

Nie. Ministerialna strona wymienia to wprost. Z zastrzeżonym numerem nadal zarejestrujesz się do lekarza i zrealizujesz receptę. Wypłacisz pieniądze z bankomatu, zlecisz przelew, wyjedziesz za granicę i załatwisz sprawę urzędową. Zastrzeżenie działa przy czynnościach, które ustawa wymienia z nazwy. Są to między innymi kredyt, pożyczka, nowy rachunek bankowy, akt notarialny przy nieruchomości, duplikat karty SIM i wypłata gotówki w oddziale powyżej trzykrotności minimalnego wynagrodzenia. Przy każdej z nich trzeba je wcześniej cofnąć, gdy sami taką czynność wykonujemy. To najczęstsze nieporozumienie wokół tego mechanizmu i powód, dla którego część osób go nie włącza.

Czy MyDr potwierdził, że dane wyciekły?

Częściowo. W oświadczeniu z 13 sierpnia firma potwierdza sam atak (“staliśmy się celem zewnętrznego, celowego działania o charakterze przestępczym”), ale wprost zastrzega, że “na dziś nie jest w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione”. Podaje za to zakres czasowy: dane mają najprawdopodobniej charakter historyczny i pochodzą z 2024 roku oraz lat wcześniejszych. Rząd poszedł dalej wcześniej: 12 sierpnia po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa wicepremier Krzysztof Gawkowski powiedział, że doszło do nadzwyczajnego wycieku sięgającego blisko 19 milionów obywateli. Dokładna liczba 18 814 422 numerów PESEL oraz 2,5 terabajta plików nadal pochodzi wyłącznie od sprawców i nie potwierdziła jej ani firma, ani żadna instytucja.

Podsumowanie

12 sierpnia rząd potwierdził wyciek sięgający blisko 19 milionów obywateli, a dzień później MyDr przyznał, że padł ofiarą celowego ataku, zastrzegając, że nie potwierdza ani ilości, ani rodzaju ujawnionych danych. Liczby sprawców, 18 814 422 numery PESEL i 2,5 terabajta plików, nadal pochodzą wyłącznie od nich. Niezależnie zweryfikowano wycinki: w jednej próbie rekordy znalazły się dla trzech z pięciu numerów. Firma mówi, że dane najprawdopodobniej pochodzą z 2024 roku i lat wcześniejszych. Od 13 sierpnia sprawa ma bieg urzędowy: UODO wszczął kontrolę w spółce, a dochodzenie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. Zbiór wszedł do portalu Bezpieczne Dane 29 sierpnia. Pacjent sprawdzi tam swój numer PESEL, ale wynik negatywny nie zamyka sprawy. Zostają trzy czynności niezależne od komunikatów: zastrzeżenie numeru PESEL, zmiana hasła w portalu Pacjent On-line oraz zasada, że przy telefonie przychodzącym nic się nie potwierdza. Osobno rozpisaliśmy, co realnie daje skarga do UODO, a co pozew o odszkodowanie, bo te dwie drogi kończą się czym innym.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.